Activer une fonction IA sur son standard, c'est franchir une ligne RGPD que beaucoup de dirigeants sous-estiment. Voici ce qu'il faut vraiment faire avant, pendant et après.
En novembre 2025, la DPO d'un cabinet de conseil parisien d'une trentaine de personnes a reçu un courrier de la CNIL : plainte d'un ancien candidat au recrutement. L'intéressé, informé par un ami juriste, avait demandé l'accès aux données détenues sur lui. Il avait découvert non seulement l'enregistrement intégral de son entretien téléphonique, mais aussi la transcription automatique générée par le standard du cabinet — et un résumé IA qui qualifiait son profil en trois mots pas vraiment flatteurs. Le cabinet avait activé les fonctions IA de son IPBX six mois plus tôt, sans mettre à jour son registre de traitements ni son message d'accueil. La DPO passera les six mois suivants à gérer le dossier.
Cet exemple, sans être dramatique, illustre ce qui se passe quand on déploie une fonctionnalité technique en 2026 sans repasser par la case juridique. L'IA sur la téléphonie n'est pas une option cosmétique : elle produit des données personnelles nouvelles, plus fines, plus exploitables, et potentiellement plus sensibles que les simples enregistrements. Le RGPD ne change pas, mais la manière de s'y conformer, oui.
Ce que dit la CNIL, en cinq points
La CNIL publie depuis longtemps des fiches pratiques sur l'enregistrement des appels en entreprise. Ces règles s'appliquent également aux nouvelles fonctions IA (transcription, résumé, routing intelligent), avec quelques précisions récentes dans ses lignes directrices sur l'IA publiées en 2024.
Premièrement, l'enregistrement (et donc la transcription) doit avoir une finalité légitime explicitement déclarée. « Améliorer la qualité » ne suffit pas : il faut préciser comment et pour qui. Formation des conseillers, gestion des litiges, traçabilité contractuelle sont des finalités acceptables ; profilage des appelants sans leur consentement ne l'est pas.
Deuxièmement, l'information préalable est obligatoire à deux niveaux : vos collaborateurs (individuellement et via le CSE), et les correspondants externes (via le message d'accueil qui doit explicitement mentionner enregistrement et traitement IA). Un message type « Cet appel est susceptible d'être enregistré à des fins de qualité et traité automatiquement » est le minimum acceptable.
Troisièmement, la durée de conservation doit être proportionnée à la finalité. Six mois est une norme raisonnable pour la formation et la gestion des litiges courants ; un an pour les métiers réglementés (banque, assurance) ; au-delà, il faut justifier. La purge doit être automatique, pas à la main.
Quatrièmement, l'accès aux données doit être restreint au strict nécessaire : seuls les managers habilités, dans un périmètre clairement défini. Les transcriptions et résumés ne sont pas des documents de libre circulation dans l'entreprise.
Cinquièmement, les personnes concernées ont un droit d'accès, de rectification et d'effacement — y compris sur les données produites par l'IA. Cela veut dire que votre outil doit permettre de retrouver et supprimer les enregistrements, transcriptions et résumés d'un appel spécifique.
⚖️ Les 5 obligations CNIL pour activer l'IA sur la téléphonie
✓ Finalité explicite et documentée dans le registre des traitements
✓ Information préalable des salariés (CSE inclus) et des correspondants externes
✓ Durée de conservation proportionnée + purge automatique
✓ Restriction des accès selon le principe du besoin d'en connaître
✓ Procédure d'exercice des droits (accès, rectification, effacement)
Le piège du transfert hors UE
C'est le point sur lequel tombent le plus souvent les PME qui se sont équipées en cloud américain. Si votre IA de transcription tourne sur des serveurs situés aux États-Unis ou dans un pays tiers, vous effectuez un transfert international de données personnelles, soumis depuis Schrems II à des garanties très précises. Le simple fait de choisir un fournisseur européen ne suffit pas si ses sous-traitants sont américains.
3CX V20 propose, dans ses architectures on-premise ou cloud européen, un traitement IA localisé : les modèles tournent sur votre serveur 3CX ou sur une instance européenne dédiée, sans transfert hors UE. C'est un choix d'implémentation qui simplifie considérablement la conformité. À l'inverse, certaines solutions cloud tout-en-un envoient par défaut l'audio vers des API américaines, et il faut aller chercher dans les conditions contractuelles pour le découvrir.
Si votre IA traite vos appels aux États-Unis, votre conformité RGPD dépend de clauses contractuelles dont vous n'avez ni le contrôle ni la lecture directe. Le risque juridique est réel.
Le registre de traitement, concrètement
Toute PME de plus de 250 salariés doit tenir un registre des traitements. En dessous, ce n'est pas une obligation légale stricte, mais la CNIL considère qu'il est nécessaire dès lors que vous traitez des données « à caractère non occasionnel ». L'activation de l'IA sur votre téléphonie entre clairement dans cette catégorie.
Pratiquement, il faut créer (ou mettre à jour) une fiche de traitement qui décrit : la finalité, les catégories de personnes concernées (salariés, clients, prospects, fournisseurs), les catégories de données (audio, texte, métadonnées d'appel), la base légale (intérêt légitime documenté, ou consentement), la durée de conservation, les destinataires, les mesures de sécurité, et le cas échéant les transferts hors UE. Ce document doit être à jour et accessible au délégué à la protection des données.
L'analyse d'impact (AIPD) : quand est-elle obligatoire
La CNIL impose une analyse d'impact sur la protection des données pour les traitements « susceptibles d'engendrer un risque élevé » — la téléphonie IA peut basculer dans cette catégorie selon trois critères : traitement de données sensibles (santé, juridique, vie privée), surveillance systématique (call centers), et utilisation innovante (et l'IA en est une).
Une PME de bureau d'étude technique qui active la transcription IA pour son service commercial n'est probablement pas dans l'obligation. Un cabinet médical, un cabinet d'avocats, un courtier en assurance, ou une société de recouvrement, oui. En cas de doute, il vaut mieux faire l'AIPD : elle prend deux à quatre demi-journées de travail, documente votre démarche, et vous protège en cas de contrôle. Et surtout, elle oblige à se poser les bonnes questions avant d'activer.
Ce qu'il faut mettre dans le message d'accueil
Le message d'accueil est votre point de contact RGPD le plus visible. Il doit être clair, audible, et ne doit pas être enfoui dans une musique d'attente. Une formulation qui fonctionne bien en pratique :
🔊 Message d'accueil type RGPD-compatible
« Bonjour, vous êtes bien chez [Entreprise]. Cet appel pourra être enregistré à des fins de traçabilité commerciale et de formation de nos équipes, et fera l'objet d'un traitement automatisé par intelligence artificielle. Vous pouvez exercer vos droits d'accès, rectification et effacement à l'adresse rgpd@[entreprise].fr. Nous vous mettons en relation... »
Par où commencer
Si vous avez déjà activé l'IA sur votre téléphonie sans avoir fait ces démarches, il n'y a pas d'urgence absolue à désactiver — mais il y a urgence à régulariser. Trois actions sur deux semaines : mettre à jour le message d'accueil, informer le personnel et mettre à jour le registre, vérifier la localisation du traitement IA (UE ou hors UE). Si le traitement est hors UE et que vos données sont sensibles, c'est là qu'il faut agir en priorité.
Si vous n'avez pas encore activé l'IA, utilisez cette fenêtre pour bien faire les choses dès le début : audit des flux actuels, cadrage juridique, information du CSE, test sur un périmètre réduit avant généralisation. Cybera Télécom accompagne cette mise en conformité en binôme technique/DPO sur des projets clé-en-main.
La DPO du cabinet de conseil parisien, elle, conclut sa régularisation ce mois-ci. « Ça nous a coûté six mois, un avertissement CNIL et 8 000 € de frais juridiques. La mise en place carrée dès le début aurait coûté 2 000 € et deux semaines. On recommande à tout le monde de ne pas faire pareil. »
Sources & références
- CNIL — « Enregistrement des conversations téléphoniques sur le lieu de travail », fiche pratique 2024
- CNIL — « Lignes directrices sur l'intelligence artificielle », avril 2024
- CJUE — Arrêt Schrems II (C-311/18), 16 juillet 2020
- Règlement Général sur la Protection des Données (UE) 2016/679
- 3CX — « Data protection and GDPR in V20 », livre blanc 2025
Les témoignages et cas présentés dans cet article sont des reconstructions basées sur des situations réelles rencontrées par Cybera Télécom ou documentées dans la presse spécialisée. Les noms, fonctions et détails identifiants ont été modifiés pour préserver l'anonymat.